NIS2 i ustawa o KSC — czy dotyczy mojej małej firmy
Opublikowano: 25.09.2026 · 5 min czytania · Autor: itpoludzku.pl
„Jesteśmy za mali, żeby nas to dotyczyło” to najczęstsze zdanie w tej sprawie. I dość często nieprawdziwe.
W skrócie
- Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa wdraża unijną dyrektywę NIS2 i obejmuje kilkanaście sektorów.
- O objęciu decyduje przede wszystkim sektor i rodzaj usług, a dopiero potem wielkość firmy.
- Sprawdź PKD, realną działalność i usługi świadczone innym firmom; przy wątpliwościach — prawnik.
- Obowiązki to głównie rzeczy, które i tak warto mieć: analiza ryzyka, kopie, dostępy, incydenty, procedury.
- Jeśli nie podlegasz — miej to na piśmie i nie kupuj zgodności, której nikt nie wymaga.
„Jesteśmy za mali, żeby nas to dotyczyło” to najczęstsze zdanie w tej sprawie. I dość często nieprawdziwe. Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa, wdrażająca unijną dyrektywę NIS2, weszła w życie w 2026 roku. Zakres obowiązków rozszerzył się z wąskiej grupy operatorów usług kluczowych na kilkanaście sektorów i tysiące dodatkowych podmiotów.
Ten tekst nie jest poradą prawną — kwalifikacja firmy to ocena prawna. Pokazuje natomiast, jak podejść do sprawy i co od strony technicznej oznaczają obowiązki.
Nie rozmiar decyduje
To najważniejsza rzecz do zrozumienia. O tym, czy firma podlega, przesądza przede wszystkim sektor i zakres świadczonych usług, a dopiero potem wielkość. Co do zasady obowiązki obejmują średnie i duże podmioty z wymienionych sektorów, ale niektóre rodzaje działalności — na przykład część usług cyfrowych i infrastruktury — mogą być objęte niezależnie od rozmiaru.
| Przykładowe sektory | Kategoria | Na co zwrócić uwagę |
|---|---|---|
| Energia, transport, ochrona zdrowia, woda | Kluczowe | Także mniejsi dostawcy usług w tych sektorach |
| Infrastruktura cyfrowa, usługi zarządzane IT | Kluczowe | Firmy IT obsługujące innych klientów |
| Gospodarka odpadami, produkcja wybranych wyrobów | Ważne | Produkcja np. elektroniki, maszyn, pojazdów |
| Usługi pocztowe i kurierskie | Ważne | Także lokalni operatorzy |
| Produkcja i dystrybucja żywności | Ważne | Hurt i przetwórstwo |
| Dostawcy cyfrowi: platformy, wyszukiwarki | Ważne | Platformy handlowe i usługi online |
To uproszczony przegląd — pełna lista sektorów i podsektorów jest w ustawie i jej załącznikach.
Jak sprawdzić, czy Was to dotyczy
Zacznij od PKD i realnej działalności
Liczy się to, co faktycznie sprzedajecie, a nie tylko wpis w rejestrze.
Sprawdź listę sektorów
Czy Wasz sektor lub podsektor jest wymieniony jako kluczowy lub ważny.
Policz wielkość
Zatrudnienie i obrót lub suma bilansowa — według zasad dla MŚP.
Przejrzyj usługi dla innych firm
Bywa, że to one przesądzają — szczególnie usługi IT i cyfrowe.
Przy wątpliwościach — prawnik
To kwalifikacja prawna, nie techniczna. Wynik warto mieć na piśmie.
Terminy
Jeśli podejrzewacie, że możecie podlegać, warto to ustalić teraz, a nie po terminie. Kary za niedopełnienie obowiązków są wysokie, a odpowiedzialność ponosi także kierownictwo.
Co to oznacza w praktyce
Żadnej egzotyki — to w większości rzeczy, które i tak warto mieć. Różnica polega na tym, że trzeba je spisać, realnie stosować i umieć to pokazać.
| Obowiązek | Co to znaczy w małej firmie |
|---|---|
| Analiza ryzyka | Spis systemów, danych i tego, co się stanie, gdy zawiodą |
| Kopie zapasowe | Z testem odtwarzania i kopią poza siedzibą |
| Kontrola dostępu | Konta imienne, uprawnienia według potrzeb, dwuskładnikowe logowanie |
| Zgłaszanie incydentów | Wiadomo, kto, komu i w jakim czasie zgłasza |
| Ciągłość działania | Plan na awarię: co robimy, gdy nie działa poczta, serwer, internet |
| Łańcuch dostaw | Wiadomo, którzy dostawcy IT mają dostęp i na jakich zasadach |
| Świadomość zarządu | Szkolenie kierownictwa — odpowiedzialność jest osobista |
Klienci też będą pytać
Nawet jeśli Twoja firma nie podlega, możesz być dostawcą firmy, która podlega. Wtedy w umowach i ankietach pojawią się pytania o kopie, dostępy i incydenty. Dobrze mieć na nie gotowe, uczciwe odpowiedzi.
Gdy nie podlegacie
To też jest odpowiedź i warto ją mieć na piśmie. Nie brakuje ofert opartych na tym, że nikt nie sprawdził, czy przepis w ogóle go dotyczy. Jeśli okaże się, że nie — nie kupujcie zgodności, której nikt od Was nie wymaga. Zróbcie za to podstawy: kopie z testem odtwarzania, dwuskładnikowe logowanie, aktualizacje. To chroni firmę niezależnie od ustaw.
Start od kopii i haseł
Jeśli nie wiesz, od czego zacząć, zacznij od dwóch rzeczy: kopie zapasowe według zasady 3-2-1 i logowanie dwuskładnikowe. Te dwa kroki zamykają większość realnych zagrożeń dla małej firmy.
Wniosek
O objęciu NIS2 i ustawą o KSC decyduje głównie sektor i rodzaj usług, a nie liczba pracowników. Sprawdź to teraz, z prawnikiem przy wątpliwościach. Jeśli podlegasz — obowiązki to uporządkowane podstawy bezpieczeństwa. Jeśli nie — miej to na piśmie i zrób podstawy i tak.
Najczęstsze pytania
Czy mikrofirma może podlegać ustawie o KSC?
Co do zasady obowiązki dotyczą średnich i dużych podmiotów, ale w niektórych rodzajach działalności wielkość nie ma znaczenia. Warto to sprawdzić dla swojego sektora.
Kto odpowiada za zgodność w firmie?
Ustawa nakłada odpowiedzialność na kierownictwo — nie można jej w całości przerzucić na informatyka czy firmę zewnętrzną.
Czy muszę kupić drogie oprogramowanie?
Nie. Obowiązki dotyczą procesów i zabezpieczeń, a nie konkretnych produktów. Wiele da się zrobić na narzędziach, które firma już ma.
Jak szybko trzeba zgłaszać incydenty?
Ustawa przewiduje krótkie terminy na wczesne ostrzeżenie i pełne zgłoszenie. Dlatego procedura musi być ustalona zawczasu.
Czy audyt bezpieczeństwa pomoże ustalić, czy podlegam?
Audyt techniczny pokaże stan zabezpieczeń. Kwalifikację prawną potwierdza prawnik — najlepiej robić oba kroki razem.
Chcesz wiedzieć, jak stoicie?
Przeglądam stan faktyczny: kopie, dostępy, pocztę, aktualizacje i procedury — i pomagam uporządkować to, czego wymaga ustawa lub zdrowy rozsądek. Zobacz audyt bezpieczeństwa IT.
Patryk · itpoludzku.pl
Zajmuję się serwisem komputerowym, stronami i sklepami internetowymi oraz wdrożeniami dla małych firm. Piszę o tym, co robię na co dzień — razem z sytuacjami, w których coś się nie opłaca. Dojeżdżam do klientów w promieniu 50 km od Grodziska Mazowieckiego.
Oceń ten wpis
Kliknij gwiazdkę, aby ocenić (1-5).
0/5 · głosów: 0
Komentarze (0)
Brak komentarzy — bądź pierwszy!
Dodaj komentarz
Komentujesz jako gość — możesz też zalogować się lub założyć konto. Każdy może skomentować wpis tylko raz.
